Collecter les journaux des événements de menace Jamf

Ce document explique comment collecter les journaux des événements de menace Jamf en configurant un flux Google Security Operations, et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) Google SecOps. Ce document liste également la version des événements de menace Jamf compatible.

Pour en savoir plus, consultez Ingérer des données dans Google SecOps.

Un déploiement typique se compose de Jamf Threat Events et du flux Google SecOps configuré pour envoyer les journaux à Google SecOps. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

• Jamf Protect : plate-forme Jamf Protect configurée avec Jamf Security Cloud, où vous collectez les journaux des menaces réseau.

• Flux Google SecOps : flux Google SecOps qui récupère les journaux de Jamf Protect et les écrit dans Google SecOps.

• Google SecOps : Google SecOps conserve et analyse les journaux de Jamf Protect.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion JAMF_THREAT_EVENTS.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une télémétrie Jamf Protect configurée
• Jamf Protect version 4.0.0 ou ultérieure
• Tous les systèmes de l'architecture de déploiement sont configurés avec le fuseau horaire UTC.

Configurer des flux à partir de Paramètres SIEM > Flux

Vous pouvez utiliser Amazon S3 V2 ou un webhook pour configurer un flux d'ingestion dans Google SecOps.

Configurer un flux d'ingestion à l'aide d'Amazon S3 V2

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Cliquez sur le pack de flux JAMF.
4. Recherchez le flux Jamf Protect Threat Events.
5. Sélectionnez Amazon S3 V2 comme type de source.

6. Spécifiez les valeurs des champs suivants.

   • URI S3 : URI du bucket.
     • s3://your-log-bucket-name/
       • Remplacez your-log-bucket-name par le nom réel de votre bucket S3.
   • Options de suppression de la source : sélectionnez l'option de suppression en fonction de vos préférences d'ingestion.
   • Âge maximal du fichier : inclut les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
   • ID de clé d'accès : clé d'accès de l'utilisateur disposant des autorisations de lecture du bucket S3.
   • Clé d'accès secrète : clé secrète de l'utilisateur avec les autorisations nécessaires pour lire le bucket S3.

   Options avancées

   • Nom du flux : valeur préremplie qui identifie le flux.
   • Espace de noms de l'élément : espace de noms associé au flux.
   • Libellés d'ingestion : libellés appliqués à tous les événements de ce flux.

7. Cliquez sur Créer un flux.

Configurer un flux d'ingestion à l'aide d'un webhook

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Cliquez sur le pack de flux JAMF.
4. Recherchez le flux Jamf Protect Threat Events.
5. Dans la liste Type de source, sélectionnez Webhook.
6. Indiquez les valeurs des champs suivants :
   • Délimiteur de fractionnement : délimiteur utilisé pour séparer les lignes de journaux, tel que \n.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
7. Cliquez sur Créer un flux.

Pour configurer plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Créer une clé API pour un flux de webhook

1. Accédez à la consoleGoogle Cloud  > Identifiants.

   Accéder à "Identifiants"

2. Cliquez sur Créer des identifiants, puis sélectionnez Clé API.

3. Restreignez l'accès à la clé API à l'API Google Security Operations.

Configurer Jamf Security Cloud pour un flux de webhook

1. Dans l'application Jamf Security Cloud, accédez à Integrations > Data Streams.
2. Cliquez sur Nouvelle configuration.
3. Sélectionnez Événements de menace > HTTP générique > Continuer.
4. Dans la section HTTP Connection Configuration (Configuration de la connexion HTTP), sélectionnez https comme protocole par défaut.
5. Saisissez le nom d'hôte de votre serveur dans le champ Nom d'hôte/Adresse IP du serveur, par exemple us-chronicle.googleapis.com.
6. Saisissez le port de votre serveur dans le champ Port, par exemple 443.
7. Saisissez votre point de terminaison Web dans le champ Point de terminaison. (Il s'agit du champ Informations sur le point de terminaison que vous avez copié lors de la configuration du flux de webhook.) (Il est déjà au format requis.)

8. Dans la section En-têtes supplémentaires, saisissez les paramètres suivants, où chaque en-tête est un en-tête personnalisé sensible à la casse que vous saisissez manuellement :

   • Nom de l'en-tête : X-goog-api-key, puis cliquez sur Créer l'option X-goog-api-key.
   • Insérer la valeur de l'en-tête : API_KEY (clé API pour s'authentifier auprès de Google SecOps)
   • Nom de l'en-tête : X-Webhook-Access-Key, puis cliquez sur Créer l'option X-Webhook-Access-Key.
   • Valeur d'insertion de l'en-tête : SECRET (clé secrète que vous avez générée pour authentifier le flux)

9. Cliquez sur Tester la configuration.

10. Si l'opération réussit, cliquez sur Créer une configuration.

Pour en savoir plus sur les flux Google SecOps, consultez Créer et gérer des flux à l'aide de l'interface utilisateur de gestion des flux. Pour en savoir plus sur les exigences de chaque type de flux, consultez l'API de configuration des flux.

Formats de journaux d'événements de menace Jamf compatibles

L'analyseur Jamf Threat Events est compatible avec les journaux au format JSON.

Exemples de journaux d'événements de menace Jamf compatibles

• JSON

  {
    "event": {
      "metadata": {
        "schemaVersion": "1.0",
        "vendor": "Jamf",
        "product": "Threat Events Stream"
      },
      "timestamp": "2023-01-11T13:10:40.410Z",
      "alertId": "debd2e4b-9da1-454e-952d-18a00b42ffce",
      "account": {
        "customerId": "dummycustomerid",
        "parentId": "dummyparentid",
        "name": "Jamf Internal Test Accounts (root) - Jamf - CE Security Team"
      },
      "device": {
        "deviceId": "e9671102-5ccf-4e66-a6b3-b117ba257d5f",
        "os": "UNKNOWN 13.2.1",
        "deviceName": "Mac (13.2.1)",
        "userDeviceName": "darrow",
        "externalId": "0c221ae4-50af-5e39-8275-4424cc87ab8e"
      },
      "eventType": {
        "id": "303",
        "description": "Risky Host/Domain - Malware",
        "name": "ACCESS_BAD_HOST"
      },
      "app": {
        "id": "ru.freeapps.calc",
        "name": "MyFreeCalculator",
        "version": "10.4",
        "sha1": "c3499c2729730a7f807efb8676a92dcb6f8a3f8f",
        "sha256": "50d858e0985ecc7f60418aaf0cc5ab587f42c2570a884095a9e8ccacd0f6545"
      },
      "destination": {
        "name": "dummy.domain.org",
        "ip": "0000:1111:2222:3333:4444:5",
        "port": "80"
      },
      "source": {
        "ip": "198.51.100.1",
        "port": "243"
      },
      "location": "GB",
      "accessPoint": null,
      "accessPointBssid": "23:8f:cf:00:9d:23",
      "severity": 8,
      "user": {
        "email": "test.user@domain.io",
        "name": "Test User"
      },
      "eventUrl": "dummy.domain.com",
      "action": "Blocked"
    }
  }
  

Référence du mappage de champs

Le tableau suivant explique comment l'analyseur Google SecOps mappe les champs des journaux Jamf Threat Events avec les champs du modèle de données unifié (UDM) Google SecOps.

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux JAMF_THREAT_EVENTS et les types d'événements UDM correspondants.

Référence du mappage de champ : JAMF_THREAT_EVENTS

Le tableau suivant liste les champs de journaux du type de journal JAMF_THREAT_EVENTS et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google SecOps

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.